Bugfix-Release von Samba stopft Sicherheitsloch

Die neue Version 3.0.22 des freien Windows-Server-Ersatzes Samba schließt eine Sicherheitslücke, durch die vertrauliche Passwortdaten unter Umständen in Log-Dateien erscheinen können. Sofern ein Log-Level winbind:5 oder höher vorgegeben wird, schreibt der WinBind-Dienst das Klartextpasswort für das so genannten Maschinenkonto (Machine Trust Account) in eine für jeden lokalen Nutzer lesbare Protokolldatei. Damit ist es einem Angreifer unter Umständen beispielsweise möglich, einen eigenen Samba-Server als Mitglied der Domäne aufzusetzen, um weitere Informationen über Netzwerk und Nutzer zu sammeln.

Der Fehler im WinBind-Dienst findet sich nach Angaben der Entwickler ausschließlich in Samba 3.0.21 sowie den Patch-Releases 3.0.21a bis c. Die Release-Notes für 3.0.22 listen auch sämtliche kleineren Bugfixes seit 3.0.21 auf. Sofern ein Upgrade auf die fehlerbereinigte Version zum jetzigen Zeitpunkt nicht möglich sein sollte, empfiehlt es sich, einen Log-Level von maximal winbind:4 zu setzen. Außerdem ist es ratsam, alte Log-Dateien gegebenenfalls nach Klartextpasswörtern zu durchsuchen oder vollständig zu löschen.

Siehe dazu auch: (cr)

• Release Notes for Samba 3.0.22 der Samba-Entwickler inklusive Fehlerbeschreibung